.NET可正常获取AD令牌，Node.js控制台应用获取失败求助

问题背景 #

我有一个.NET 6.0控制台应用，使用以下配置（真实值已掩码）可成功获取AD令牌：

{
  "Tenant": "MASKED", // this is the same as tenantId
  "ClientSecret": "MASKED",
  "Scope": "api://MASKED/.default",
  "Instance": "https://login.microsoftonline.com/{0}",
  "ClientId": "MASKED"
}

对应的C#代码（控制台/守护程序应用）可成功获取令牌：

var app = ConfidentialClientApplicationBuilder.Create(ClientId)
    .WithClientSecret(ClientSecret)
    .WithAuthority(new Uri(GetAuthority()))
    .Build();
var scopes = new string[] { Scope };
try
{
    var result = await app.AcquireTokenForClient(scopes).ExecuteAsync(cancellationToken);
    response.Result = result.AccessToken;
}
catch (MsalServiceException mex) when (mex.Message.Contains("AADSTS70011"))
{
    _logger.LogError(mex, $"The scope provided is not supported. {mex.Message}");
}

string GetAuthority() => string.Format(CultureInfo.InvariantCulture, Instance!, Tenant);

但在Node.js控制台应用中使用相同参数时，出现错误：

AADSTS900023: Specified tenant identifier 'MASKED' is neither a valid DNS name, nor a valid external domain.

改用Graph的URL作为Scope可成功获取令牌，但后端验证因Scope不一致不认可该令牌。

解决方案 #

1. 安装官方MSAL Node库 #

确保使用微软官方的Node.js身份验证库：

npm install @azure/msal-node

2. 严格对齐.NET的Authority构造逻辑 #

和.NET代码保持一致，将Instance与Tenant拼接成完整的Authority地址，避免Tenant参数格式或拼接错误。

3. 完整Node.js示例代码 #

const { ConfidentialClientApplication } = require('@azure/msal-node');

// 复用.NET的配置参数
const config = {
    auth: {
        clientId: "MASKED",
        authority: `https://login.microsoftonline.com/MASKED`, // 直接拼接Instance和Tenant，或用字符串模板格式化
        clientSecret: "MASKED"
    }
};

// 创建机密客户端实例
const cca = new ConfidentialClientApplication(config);

// 客户端凭据流请求参数，Scope和.NET完全一致
const tokenRequest = {
    scopes: ["api://MASKED/.default"],
};

// 获取令牌
cca.acquireTokenByClientCredential(tokenRequest)
    .then(response => {
        console.log("Access Token:", response.accessToken);
    })
    .catch(error => {
        console.error("获取令牌失败:", error);
    });

错误原因说明 #

报错AADSTS900023的核心原因是Authority中的Tenant参数无效，与api://MASKED/.default这个Scope无关：

• 大概率是Node.js代码构造Authority时，Tenant值格式错误（比如误传租户域名而非租户ID，或字符串拼接时出现语法问题）
• .default范围在客户端凭据流中是合法的，用于获取目标API的全权限令牌

内容的提问来源于stack exchange，提问作者Arash